Segurança de Dispositivos

Objetivo de Aprendizagem 4.1.A: Identificar tipos de dispositivos computacionais.

• 4.1.A.1 Computadores servidores são dispositivos que fornecem um ou mais serviços a outros computadores (ex.: DNS, DHCP, FTP). Qualquer computador pode ser um servidor, e em um ambiente corporativo, os servidores geralmente possuem mais poder de processamento e armazenamento do que um computador pessoal.
• 4.1.A.2 Computadores pessoais são dispositivos projetados para serem usados por uma pessoa para fins de trabalho ou recreação (ex.: processamento de texto, design gráfico, navegação na web e produção ou visualização de mídia). Estes incluem computadores desktop, laptop e notebook.
• 4.1.A.3 Computadores portáteis (também chamados de computadores móveis ou aparelhos de informação) são menores que os computadores pessoais e funcionam com bateria. Estes incluem tablets, smartphones e tecnologia vestível como smartwatches.
• 4.1.A.4 Computadores embutidos são dispositivos que fazem parte de uma máquina. Dispositivos embutidos possuem conjuntos de instruções específicos para interagir com componentes especializados da máquina em que estão embutidos. Computadores embutidos tendem a ser mais lentos e baratos do que outros computadores e possuem armazenamento mínimo.
• 4.1.A.5 Dispositivos cotidianos com computadores embutidos são frequentemente chamados de dispositivos Internet das Coisas (IoT). Computadores embutidos são encontrados em transporte (ex.: carros, trens e aviões), dispositivos que operam infraestrutura crítica (ex.: acionamento de disjuntores em subestações elétricas e bombas em estações de tratamento de água), equipamentos médicos (ex.: bombas de soro, ressonâncias magnéticas, marcapassos e bombas de insulina) e dispositivos cotidianos como máquinas de lavar, cafeteiras e termostatos.

Objetivo de Aprendizagem 4.1.B: Identificar o tipo de malware usado em um ciberataque.

• 4.1.B.1 Malware é software malicioso que pode danificar ou destruir um dispositivo ou rede, ou permitir que um adversário acesse um dispositivo e os dados nele contidos.
• 4.1.B.2 O malware é frequentemente usado como ferramenta para cumprir parte do plano de um adversário para atingir seu(s) objetivo(s) final(is). Existem muitos tipos de malware, tais como:
  • Vírus são malware que precisam ser ativados por um usuário executando ou abrindo um arquivo.
  • Worms se espalham de um computador para outro sem interação humana.
  • Cavalos de Troia são malware embutidos em outro software que parece inofensivo. Cavalos de Troia de acesso remoto (RATs) fornecem a um adversário acesso remoto ao sistema-alvo.
  • Ransomware criptografam os arquivos de um dispositivo, impedindo que o usuário acesse os arquivos nele. O ransomware geralmente apresenta ao usuário uma tela exigindo pagamento e prometendo fornecer uma chave de descriptografia para seus arquivos se o usuário pagar dentro de um prazo fixo.
  • Spyware rastreia as ações de um usuário em um computador e envia informações de volta para um adversário.
  • Um keylogger é software ou hardware que registra as teclas digitadas pelo usuário e envia as informações de volta para o adversário. Adversários podem muitas vezes extrair nomes de usuário e senhas dos dados do keylogger.
  • Bombas lógicas são configuradas para ativar seu efeito apenas quando um conjunto específico de condições é atendido; as condições podem incluir tempo e data, tipo ou versão específica do sistema operacional, conjunto de caracteres que o computador está usando, etc.
  • Um rootkit é malware sofisticado que entra no sistema operacional do computador-alvo e pode controlar quase todos os aspectos do sistema, incluindo tornar o próprio rootkit invisível à detecção.
• 4.1.B.3 Embora a maioria dos malware seja um arquivo ou coleção de arquivos, o malware sem arquivo (fileless) é código malicioso que reside na RAM e usa programas legítimos já instalados em um dispositivo para comprometê-lo.

Objetivo de Aprendizagem 4.1.C: Explicar como adversários podem explorar vulnerabilidades comuns de dispositivos para causar perda, dano, interrupção ou destruição.

• 4.1.C.1 Adversários podem desenvolver exploits para vulnerabilidades conhecidas em softwares (incluindo sistemas operacionais). Dispositivos com software não atualizado são vulneráveis a esses exploits, que poderiam permitir que um adversário travasse um sistema, visualizasse ações do usuário, habilitasse ou desabilitasse vários serviços ou componentes no dispositivo (ex.: ligar uma câmera web ou microfone), ou até mesmo assumisse o controle do dispositivo para emitir seus próprios comandos, incluindo comandos para roubar ou destruir informações no dispositivo.
• 4.1.C.2 Adversários podem aproveitar requisitos de autenticação fracos adivinhando a senha de um usuário ou usando engenharia social para fazer com que um usuário revele sua senha.
• 4.1.C.3 Quando sistemas não possuem senha no basic input output system (BIOS) ou unified extensible firmware interface (UEFI), um adversário pode inicializar um computador em um modo especial (ex.: “modo de recuperação”) que lhes confere privilégios de nível superior. Sem proteção BIOS ou UEFI, adversários podem carregar seu próprio sistema operacional em um dispositivo a partir de uma unidade externa e usar ferramentas especializadas para alterar ou criar perfis de usuário, incluindo alterando senhas de usuários.
• 4.1.C.4 Adversários podem carregar malware em uma unidade externa e, se o autorun estiver habilitado, o dispositivo executará o malware quando a unidade externa for inserida.
• 4.1.C.5 Adversários podem aproveitar portas abertas para se conectar a um dispositivo.
• 4.1.C.6 Adversários podem enviar dados maliciosos para dispositivos para interrompê-los ou tentar assumir o controle deles. Dispositivos que não possuem firewall (ou possuem um firewall mal configurado) não conseguem filtrar esses dados maliciosos.
• 4.1.C.7 Adversários frequentemente tentam instalar malware em um dispositivo para interrompê-lo ou controlá-lo. Dispositivos sem software anti-malware são mais vulneráveis a esse tipo de ataque.

Objetivo de Aprendizagem 4.1.D: Avaliar e documentar riscos decorrentes de vulnerabilidades de dispositivos.

• 4.1.D.1 O risco decorrente de vulnerabilidades de dispositivos pode vir de acesso não autorizado ou malware que permitem que um adversário se faça passar por um usuário autorizado, controle remotamente um dispositivo, cripte a unidade de um dispositivo para resgatar os dados, ou apague a memória de um dispositivo, destruindo dados ou tornando o dispositivo inoperante. O nível de risco varia dependendo da criticidade do dispositivo, dos serviços que ele fornece ou dos dados que armazena.
• 4.1.D.2 Alto risco decorrente de vulnerabilidades de dispositivos envolve potencialmente comprometer dados sensíveis ou operações críticas.
  • Exemplos ilustrativos para 4.1.D.2:
    • Uma organização não instalou a atualização mais recente para seu servidor de e-mail, que incluía um patch para uma vulnerabilidade crítica conhecida.
• 4.1.D.3 Risco moderado decorrente de vulnerabilidades de dispositivos pode surgir de requisitos de autenticação fracos ou de vulnerabilidades que seriam menos propensas a serem exploradas.
  • Exemplos ilustrativos para 4.1.D.3:
    • Uma estação de tratamento de água possui sistemas embutidos controlando bombas. As bombas podem ser acessadas remotamente via nome de usuário e senha para gerenciamento remoto da planta, mas os dispositivos não exigem autenticação multifator (MFA).
• 4.1.D.4 Baixo risco decorrente de vulnerabilidades de dispositivos geralmente está relacionado a vulnerabilidades que, se exploradas, teriam pouco impacto.
  • Exemplos ilustrativos para 4.1.D.4:
    • O laptop de um funcionário tem a porta telnet 23 aberta.

Objetivo de Aprendizagem 4.2.A: Explicar por que hashes (também chamados de saídas de hash, checksums, message digests ou digestos) são usados para armazenar senhas.

• 4.2.A.1 Uma função de hash criptográfica (também chamada de função de message digest) é um algoritmo matemático que recebe dados binários de comprimento arbitrário, processa-os de acordo com um conjunto de instruções e produz uma string binária de comprimento fixo chamada hash (ou checksum ou message digest). Hashes criptográficos bem conhecidos incluem:
  • MD5
  • SHA-1, SHA-256, SHA-512 (SHA significa Secure Hash Algorithm)
  • NTHash
  • RIPEMD-160
• 4.2.A.2 Um hash de n bits tem $2^n$ saídas possíveis. O número de entradas é infinito, e portanto inevitavelmente duas entradas diferentes produzirão o mesmo hash. Isso é chamado de colisão.
• 4.2.A.3 Funções de hash criptográficas possuem as seguintes propriedades:
  • Hashes são resistentes a colisões; é difícil encontrar duas entradas diferentes para a mesma função de hash que produzam a mesma saída.
  • Hashes têm resistência à imagem prévia; dado um hash, é inviável descobrir a entrada que o gerou.
  • Hashes são repetíveis; a mesma entrada sempre produzirá o mesmo hash.
  • Hashes têm comprimento fixo; o comprimento em bits do hash para uma função de hash específica é constante, independentemente do tamanho da entrada.
• 4.2.A.4 Adversários tentam comprometer funções de hash forçando colisões em suas saídas. Se existir um algoritmo eficiente para forçar uma colisão para uma função de hash específica, então essa função de hash será descontinuada (não mais usada em ambientes seguros). MD5 e SHA1 são exemplos de funções de hash descontinuadas.
• 4.2.A.5 Os serviços de autenticação baseados em senha não devem armazenar senhas em texto claro, para que, se um adversário tiver acesso ao diretório user:password, ele não saiba imediatamente as senhas de todos os usuários. Em vez disso, as senhas dos usuários devem ser hashadas e o hash armazenado em um banco de dados. Quando um usuário digita sua senha, ela é hashada e o hash é comparado com o hash armazenado no arquivo. Se os hashes coincidirem, o usuário é autenticado.
• 4.2.A.6 Se dois usuários tivessem a mesma senha, seus passwords teriam hashes idênticos no diretório user:password. Para evitar isso, alguns bits aleatórios (chamados de salt) são hashados junto com a senha do usuário para gerar o hash. O salt de cada usuário é único, então, mesmo que dois usuários tenham a mesma senha, eles terão um hash de senha diferente porque possuem salts diferentes.

Objetivo de Aprendizagem 4.2.B: Explicar como ataques de senha exploram vulnerabilidades.

• 4.2.B.1 Se um adversário puder comprometer a senha de um usuário legítimo, e a organização desse usuário não tiver ativado MFA ou outras proteções de autenticação, então o adversário pode agir dentro daquela organização com todo o acesso e direitos disponíveis para o usuário.
• 4.2.B.2 Ataques de senha podem ser classificados como online ou offline.
  • Ataques de senha online tentam combinações de user:password em um portal de autenticação ativo.
  • Ataques de senha offline capturaram um banco de dados de user:password e podem executar ataques de senha contra o banco de dados em seu próprio computador. Este método contorna qualquer proteção de bloqueio de conta que possa estar em vigor.
• 4.2.B.3 Muitos usuários reutilizam as mesmas senhas (ou variações da mesma senha) para todos os serviços e contas que possuem, apesar dos avisos para não fazê-lo. Quando o banco de dados de usuários de uma organização é roubado, os nomes de usuário, e-mails e senhas são vendidos a adversários ou postados na internet. Adversários frequentemente começam a tentativa de comprometer uma conta tentando credenciais roubadas ou vazadas para um indivíduo-alvo.
• 4.2.B.4 Muitos usuários definem senhas fáceis de adivinhar, e adversários tentarão adivinhar senhas comuns para a conta de um usuário. A pulverização de senhas (Password spraying) é um ataque em que um adversário tenta uma senha comum contra muitas contas de usuários diferentes.
• 4.2.B.5 Alguns serviços e dispositivos (ex.: switches, roteadores e dispositivos IoT) são pré-configurados com um usuário administrativo padrão e senha. O preenchimento de credenciais (Credential stuffing) é um ataque em que um adversário tenta acessar esses serviços ou dispositivos usando credenciais padrão comuns ou credenciais de conta que foram roubadas.
• 4.2.B.6 Ataques de senha offline usam ferramentas automatizadas de quebra de hash para hashear senhas possíveis e compará-las com um hash capturado. Embora os hashes não possam ser revertidos, um adversário pode usar essas ferramentas para hashear muitas senhas potenciais e compará-las com o hash-alvo. Se um adversário encontrar um hash que coincida, ele poderá usar a senha que gerou o hash para fazer login na conta do usuário. Ataques offline incluem:
  • Ataques de força bruta, onde um adversário usa uma ferramenta automatizada para testar todas as senhas potenciais que um usuário poderia ter
  • Ataques de dicionário, onde um adversário usa uma ferramenta automatizada para testar uma lista de senhas comuns
• 4.2.B.7 Um ataque de tabela arco-íris usa uma lista de senhas comuns para gerar uma tabela arco-íris. Uma tabela arco-íris é uma tabela que contém cada senha potencial e seu hash. A tabela é então ordenada pelos hashes, e o adversário usa uma ferramenta automatizada para pesquisar a lista de hashes em busca do hash capturado. Se os hashes coincidirem, então o adversário encontrou uma senha que gera o mesmo hash, e a senha permitirá que o adversário faça login na conta do usuário.

Objetivo de Aprendizagem 4.2.C: Determinar o tipo de autenticação usado para verificar a identidade de um usuário.

• 4.2.C.1 Mecanismos de autenticação são controles técnicos que verificam a identidade de um usuário para garantir que apenas usuários autorizados acessem um sistema. A prova que o usuário fornece para se identificar é chamada de fator. Fatores de autenticação comuns incluem:
  • Algo que o usuário sabe (fator de conhecimento)
  • Algo que o usuário tem (fator de posse)
  • Algo que o usuário é (fator biométrico)
  • Onde o usuário está (fator de localização)
• 4.2.C.2 Fatores de conhecimento podem ser senhas, PINs ou respostas a perguntas de desafio pré-selecionadas. Para que um fator de conhecimento seja eficaz, ele precisa ser algo que um adversário não possa adivinhar facilmente; no entanto, fatores de conhecimento que são difíceis para um adversário descobrir também podem ser mais difíceis para um usuário lembrar.
• 4.2.C.3 Um fator de posse é um objeto que o usuário possui e que é exclusivo dele, como um cartão de acesso, um cartão bancário, um celular ou um token de autenticação. Quanto mais difícil for para um adversário obter o objeto (ou uma cópia dele), mais seguro é o fator de posse.
• 4.2.C.4 Fatores biométricos medem características do corpo humano e podem incluir impressões digitais, impressões de palma, reconhecimento facial, exames de íris ou retina, ou identificação por voz. Fatores biométricos são difíceis para um adversário duplicar porque são exclusivos de um indivíduo.
• 4.2.C.5 Fatores de localização usam informações sobre sinais Wi-Fi, dados GPS, configurações de fuso horário e até mesmo informações de endereço IP para tomar decisões sobre a localização. Regras podem ser estabelecidas para permitir ou negar acesso com base em um fator de localização.
• 4.2.C.6 Autenticação multifatorial (MFA) ocorre quando um sistema utiliza mais de um fator para autenticar um usuário. A MFA é mais segura do que a autenticação de fator único porque requer que o usuário forneça pelo menos dois fatores de autenticação separados.

Objetivo de Aprendizagem 4.2.D: Configurar definições de login para tornar um dispositivo mais seguro.

• 4.2.D.1 Exigir complexidade em senhas é uma configuração de login que pode ser configurada. Quando ativado, os usuários ao definir uma nova senha devem incluir pelo menos um caractere de cada conjunto de caracteres. Senhas com caracteres de cada conjunto de caracteres são significativamente mais difíceis para um adversário quebrar do que senhas que usam caracteres de apenas um ou dois conjuntos de caracteres. Os principais conjuntos de caracteres geralmente exigidos são:
  • Letras maiúsculas (A–Z)
  • Letras minúsculas (a–z)
  • Dígitos numéricos (0–9)
  • Caracteres especiais (!”#$%&’()*+,-./:;<=>?@ [ \ ] ^_`{|}~)
• 4.2.D.2 Exigir um comprimento mínimo de senha é uma configuração de login que pode ser configurada. Isso significa que os usuários devem ter pelo menos um certo número de caracteres em sua senha. Quanto maior e mais complexa for uma senha, mais tempo levará para uma ferramenta digital quebrar a senha.
• 4.2.D.3 Exigir uma idade máxima de senha é uma configuração de login que pode ser configurada. Quando configurado, os usuários receberão um prompt para alterar sua senha após um determinado número de dias desde a última alteração de senha, geralmente a cada 90 ou 120 dias. Se a senha de um usuário foi comprometida, alterá-la pode impedir que um adversário obtenha acesso à conta do usuário. No entanto, algumas normas nacionais recomendam que organizações não exijam que usuários alterem suas senhas em intervalos predefinidos para desencorajar o desenvolvimento de padrões de senha pelos usuários (ex.: PasswordFall2028).
• 4.2.D.4 Exigir que o sistema armazene um determinado número de senhas anteriores de usuário é uma configuração de login que pode ser configurada. Isso impede que um usuário reutilize uma senha. Muitas organizações armazenam os hashes das 5–10 senhas anteriores dos usuários para evitar reutilização.
• 4.2.D.5 Exigir um período de bloqueio após um determinado número de tentativas de login inválidas é uma configuração de login que pode ser configurada. Isso impede que um adversário tente continuamente senhas erradas aleatoriamente. Muitas organizações bloqueiam a conta de um usuário após 3–5 tentativas de login inválidas. O período de bloqueio varia.

Objetivo de Aprendizagem 4.3.A: Identificar controles gerenciais relacionados à segurança de dispositivos.

• 4.3.A.1 Uma política de uso aceitável descreverá a gama de atividades que são permitidas, proibidas ou obrigatórias para usuários em dispositivos pertencentes a uma organização e pode incluir:
  • Proibir usuários de acessar sites específicos ou tipos de sites (ex.: redes sociais ou jogos)
  • Exigir que usuários mantenham o software atualizado
  • Permitir que usuários conectem dispositivos periféricos
  • Proibir usuários de conectar unidades externas ou mídias
• 4.3.A.2 Uma política de senhas detalhará os requisitos para senhas de usuários dentro de uma organização e pode incluir:
  • Um comprimento mínimo ou máximo de senha
  • Um período mínimo ou máximo que um usuário pode manter a mesma senha
  • Uma proibição de reutilização de senha
  • Regras para construção de senha (ex.: nenhuma palavra de dicionário e requisitos de conjunto de caracteres)
  • Uma sugestão para usar ferramentas seguras de gerenciamento de senhas em vez de anotar senhas
• 4.3.A.3 Uma política de instalação de software descreverá o que (se houver) software os usuários têm permissão para instalar em seus dispositivos e geralmente também inclui um processo para que usuários solicitem software especializado que possam precisar para desempenhar seu papel, e pode incluir:
  • Uma proibição contra usuários instalarem software em seus dispositivos
  • Um processo para usuários solicitarem novo software necessário para seu papel
  • Uma lista de software aprovado para usuários

Objetivo de Aprendizagem 4.3.B: Explicar como o software anti-malware pode tornar um dispositivo mais seguro.

• 4.3.B.1 Software anti-malware (às vezes chamado de software antivírus) possui ferramentas para isolar e remover malware que pode corromper, espionar ou destruir um sistema. O malware contém indicadores que o tornam detectável; esses indicadores são chamados de assinaturas.
• 4.3.B.2 Software anti-malware possui um banco de dados de assinaturas de malware. Ele escaneia periodicamente os arquivos de um dispositivo e verifica se algum dos arquivos corresponde a alguma das assinaturas em seu banco de dados. Se houver correspondência, o software isola e remove os arquivos maliciosos.

Objetivo de Aprendizagem 4.3.C: Explicar por que manter o sistema operacional e o software de um dispositivo atualizados torna-o mais seguro.

• 4.3.C.1 Quando vulnerabilidades em sistemas operacionais e softwares são encontradas, o fornecedor ou a organização que mantém o software do sistema operacional o corrigirá e enviará uma atualização. Uma pequena atualização é chamada de patch (correção/ajuste).
• 4.3.C.2 Garantir que o sistema operacional e os aplicativos de software de um computador estejam atualizados para a versão mais recente impede que adversários aproveitem-se de uma vulnerabilidade conhecida.

Objetivo de Aprendizagem 4.3.D: Configurar um firewall baseado em host.

• 4.3.D.1 Firewalls baseados em host permitem ou bloqueiam tráfego entrante ou saiente de um único dispositivo. Isso fornece uma camada extra de segurança no caso de um host estar conectado a uma rede comprometida.
• 4.3.D.2 Um firewall baseado em host é um software que executa em um dispositivo e segue um conjunto de regras (uma ACL) como um firewall baseado em rede. As regras do firewall são implementadas em ordem, aplicando a primeira regra que corresponder.
• 4.3.D.3 Um firewall baseado em host também pode bloquear tipos específicos de tráfego saiente. Os firewalls baseados em host devem sempre bloquear portas ou serviços que não sejam necessários para um dispositivo específico.
  • Exemplos ilustrativos para 4.3.D.3:
    • Um firewall baseado em host é configurado para bloquear o tráfego FTP saiente. Isso impede que um adversário com acesso remoto ao host use o FTP para exfiltrar um arquivo para o servidor do adversário.
• 4.3.D.4 As regras de um firewall baseado em host podem permitir ou bloquear tráfego com base na porta de origem ou destino, endereço IP, serviço, protocolo ou aplicativo.

Objetivo de Aprendizagem 4.4.A: Explicar como detectar ataques contra dispositivos.

• 4.4.A.1 Processos e configurações do sistema, tentativas de login, tentativas de download de arquivos e ações do usuário são registrados por sistemas computacionais. Esses logs podem ser usados para reconstruir as circunstâncias que antecederam e ocorreram durante um incidente cibernético.
• 4.4.A.2 Um indicador de comprometimento (IoC) é evidência de que um adversário comprometeu um dispositivo ou rede.
• 4.4.A.3 Logs de autenticação (ou auth logs) registram toda tentativa de login em um sistema. A análise de logs de autenticação pode revelar tentativas de ataque.
• 4.4.A.4 IoCs baseados em host são descobertos ao analisar logs e configurações do sistema. Indicadores, como os seguintes, podem ser encontrados em logs de autenticação, logs de atividade do usuário e arquivos de configuração do sistema:
  • Arquivos incomuns sendo criados ou modificados
  • Processos ou serviços inesperados
  • Alterações não autorizadas nas configurações do sistema
  • Instalação ou atualização de software não autorizada
• 4.4.A.5 IoCs baseados em arquivos são descobertos ao analisar arquivos em um dispositivo. Os indicadores geralmente são encontrados em arquivos executáveis e podem incluir:
  • Arquivos cujo hash corresponde a malware conhecido
  • Nomes de arquivos conhecidos por serem criados por um determinado malware
  • Caminhos de arquivos associados a atividades maliciosas
• 4.4.A.6 IoCs baseados em comportamento são descobertos ao analisar logs. Os indicadores podem ser encontrados em logs de autenticação e logs de acesso e podem incluir:
  • Múltiplas tentativas de login falhadas
  • Horários ou locais de login incomuns
  • Tentativas não autorizadas de acessar dados sensíveis
  • Tentativas de elevar privilégios de usuário em um sistema

Objetivo de Aprendizagem 4.4.B: Determinar controles para detectar ataques contra um dispositivo.

• 4.4.B.1 O desempenho é um critério para determinar um método de detecção. Ferramentas de detecção usam memória do sistema e poder de processamento e podem impactar o desempenho de um dispositivo. Ferramentas de detecção baseadas em anomalias usam mais recursos do sistema do que ferramentas baseadas em assinaturas. A detecção baseada em assinatura é uma melhor opção para dispositivos com recursos de sistema menos potentes. Muitos dispositivos embutidos não possuem recursos de sistema suficientes para executar qualquer ferramenta de detecção no dispositivo.
• 4.4.B.2 O custo é um critério para determinar um método de detecção. Organizações que compram software de detecção precisam considerar o custo de comprar licenças de software suficientes para o número de dispositivos que precisam monitorar. Algumas organizações compram um serviço de detecção e resposta em endpoint (EDR) de um fornecedor terceirizado. Embora esses serviços sejam caros, eles oferecem uma abordagem holística e unificada para a detecção de ameaças dos dispositivos da organização; eles tipicamente incluem uma plataforma centralizada de alertas para monitorar possíveis ataques aos dispositivos.
• 4.4.B.3 A sensibilidade ou criticidade do dispositivo é um critério para determinar um método de detecção. Dispositivos que armazenam ou processam informações sensíveis ou fornecem serviços críticos são mais propensos a serem alvo de adversários e se beneficiam de um modelo de detecção híbrido para oferecer proteção máxima, quando possível.

Objetivo de Aprendizagem 4.4.C: Avaliar o impacto de um método de detecção de dispositivo.

• 4.4.C.1 Velocidade e desempenho são fatores na avaliação do impacto de um método de detecção. A detecção baseada em assinatura é mais rápida do que a detecção baseada em anomalias em geral, e esse efeito é amplificado em dispositivos, que frequentemente carecem de poder de processamento para executar efetivamente ferramentas de detecção baseadas em anomalias. Implementar ferramentas de detecção intensivas em recursos em dispositivos pode degradar o desempenho do dispositivo.
• 4.4.C.2 A fase do ataque é um fator na avaliação do impacto de um método de detecção. Para realizar ações em um dispositivo, os adversários devem primeiro contornar uma combinação de controles de segurança físicos ou de camada de rede protetores, dissuasores e detetivos. Detectar e parar um ataque no nível do dispositivo pode impedir que adversários acessem dados sensíveis ou interrompam serviços críticos.
• 4.4.C.3 Falsos positivos versus facilidade de contorno da detecção é um fator na avaliação do impacto de um método de detecção. A maioria das ferramentas de detecção no nível do dispositivo é baseada em assinatura, e a detecção baseada em assinatura tem uma baixa taxa de falsos positivos. No entanto, a detecção baseada em assinatura é mais fácil para os adversários contornarem.

Objetivo de Aprendizagem 4.4.D: Aplicar técnicas de detecção para identificar indicadores de ataques de senha analisando arquivos de log.

• 4.4.D.1 Ataques online de senha podem ser detectados em logs de autenticação. Um único usuário tentando muitas senhas erradas é um indicador de um ataque online de senha. Se um banco de dados de hashes de usuário:senha foi comprometido, todas as senhas de usuário no banco de dados devem ser consideradas inseguras e todos os usuários devem ser forçados a redefinir suas senhas.
• 4.4.D.2 Se um usuário autorizado está fazendo login de um local diferente ou endereço IP do esperado, ou em um horário diferente do normal, isso pode ser um indicador de que a senha do usuário foi comprometida.
• 4.4.D.3 Um indicador de password spraying são muitos usuários tentando fazer login dentro de segundos uns dos outros de um único endereço IP ou de endereços IP incomuns.
• 4.4.D.4 Um indicador de credential stuffing é uma série de combinações padrão de usuário:senha sendo tentadas em um dispositivo em rápida sucessão, muitas vezes do mesmo endereço IP.
• 4.4.D.5 Ataques offline de senha não podem ser detectados, porque o ataque ocorre no computador do adversário.